verdade
O recentemente lançado No Time to Die põe fim a era de Daniel Craig. Com isso em mente, vamos examinar todas as cinco tomadas de Bond a partir de uma perspectiva de cibersegurança – você ficará abalado, mas esperançosamente não angustiado, por nossas descobertas. O que une os filmes, além do próprio Craig, é uma completa falta de compreensão dos fundamentos da cibersegurança pelos funcionários do MI6 da produção cinematográfica.
Não está claro se o descuido é deliberado (destacando a desatualização de Bond e todo o conceito da seção 00) ou devido à incompetência dos roteiristas e à falta de consultores cibernéticos. Seja qual for o caso, aqui agrupamos alguns dos absurdos que vimos nos filmes, em ordem de aparecimento. Cuidado: contém spoiler!
Casino Royale
No primeiro filme de Bond do Craig, vemos a seguinte cena: Bond invade a casa de seu superior imediato, a M, e usa o laptop dela para se conectar a algum tipo de sistema espião para descobrir a origem de uma mensagem de texto enviada ao telefone de um vilão. Na realidade, Bond só poderia fazer isso se:
- O MI6 não impõe um bloqueio automático de tela e política de logout, e a M deixa seu laptop permanentemente ligado e conectado;
- O MI6 não impõe o uso de senhas fortes e as senhas da M são facilmente descobertas;
- A M não sabe como manter suas senhas em segredo de seus colegas ou usa senhas que foram comprometidas.
Qualquer um desses cenários significa problemas, mas o terceiro é o mais provável; um pouco mais tarde na história, Bond novamente faz login remotamente em um “site seguro” usando as credenciais da M.
A atitude com senhas de Bond não é das melhores. Quando ele precisa criar uma senha (de pelo menos seis caracteres) para a conta secreta que manterá seus ganhos no pôquer, ele usa o nome da colega (e interesse amoroso) Vesper. Além do mais, a senha é na verdade um mnemônico correspondente a um número (como as palavras de telefone desatualizadas para lembrar e discar números em teclados alfanuméricos). Na verdade, é uma senha de 6 dígitos, baseada em uma palavra do dicionário.
Quantum of Solace
O menos computadorizado dos últimos cinco filmes de Bond, Quantum of Solace, inclui um momento digno de atenção. No início do filme, descobrimos que Craig Mitchell, um funcionário do MI6 por oito anos – cinco como guarda-costas pessoal da M – é na verdade um agente duplo.
Claro, esse é um problema de segurança tradicional, e não do tipo cibernético. No entanto, o descuido da M com as senhas, como visto no filme anterior, sugere que os segredos do MI6 podem estar nas mãos de supervilões maléficos de todo o mundo.
Skyfall
Na outra ponta do ciberespectro está Skyfall, o mais computadorizado dos cinco. Aqui, a segurança da informação está no cerne da trama. O cibermadness é evidente desde a primeira cena. Por conveniência, dividiremos nossa análise cronologicamente.
Vazamento de dados em Istambul
Um criminoso desconhecido rouba um disco rígido de laptop contendo “a identidade de cada agente da OTAN infiltrado em organizações terroristas em todo o mundo”. Mesmo os parceiros do MI6 não sabem sobre a lista (que, além disso, não existe oficialmente).
A própria ideia de tal unidade já é uma grande vulnerabilidade. Vamos supor que o banco de dados seja vital para o MI6 (e é). O que, então, ele estava fazendo em uma casa segura em Istambul, protegida por apenas três agentes? Mesmo se a unidade for, como nos foi dito, criptografada e alertar o MI6 sobre qualquer tentativa de descriptografia?
Ataque ciberterrorista no SSI
O primeiro ciberincidente real surge um pouco mais tarde: um ataque ciberterrorista à sede do Serviço Secreto de Inteligência (SSI) Britânico. O invasor tenta burlar a criptografia da unidade roubada – aparentemente, de acordo com o sistema de segurança, do computador pessoal da M. Os defensores tentam desesperadamente desligar o computador, mas os malfeitores explodem o prédio do SSI na margem do Tâmisa.
A investigação que se seguiu revela que o invasor utilizou o sistema de controle ambiental, bloqueou os protocolos de segurança e ligou o gás; mas antes de fazer isso, eles hackearam os arquivos da M, incluindo seu calendário, e extraíram códigos que tornam a descriptografia da unidade roubada uma questão de quando, e não de “se”.
Suponhamos que o alerta do drive roubado no computador da M representasse uma tentativa de desinformação ou trollagem (afinal, o drive não poderia estar no prédio). E vamos ignorar as perguntas sobre o suprimento de gás do prédio – quem sabe, talvez os corredores do MI6 fossem iluminados com lanternas a gás da era do jack estripador. Afinal, a Grã-Bretanha é uma terra de tradições.
Em qualquer caso, hackear os sistemas de controle de engenharia é perfeitamente factível. Mas como os sistemas de controle de engenharia e o computador da M – supostamente “o sistema de computador mais seguro da Grã-Bretanha” – acabaram na mesma rede? Este é claramente um problema de segmentação. Sem mencionar que armazenar os códigos de descriptografia da unidade no computador da M é outro exemplo de pura negligência. Eles poderiam pelo menos ter usado um gerenciador de senhas.
O Ciberbullying da M
Os perpetradores provocam a M publicando periodicamente os nomes dos agentes no domínio público. Ao fazer isso, eles são capazes de gravar suas mensagens em seu laptop. (Parece haver algum tipo de backdoor; do contrário, como eles poderiam entrar?) Mas os especialistas do MI6 não estão interessados em verificar o laptop, apenas em rastrear a origem das mensagens.
Eles concluem que foi enviado por um algoritmo de segurança assimétrico que espalhou o sinal por todo o globo, por meio de mais de mil servidores. Essa tática pode existir, mas o que eles querem dizer com “algoritmo de segurança assimétrico” neste contexto é tão claro quanto lama. No mundo real, algoritmo de criptografia assimétrica é um termo de criptografia; não tem nada a ver com ocultar uma fonte de mensagem.
Intruso no MI6
Bond localiza e apreende o hacker (um ex-agente do MI6 chamado Silva) e o leva com seu laptop para a nova sede do MI6, sem saber que Silva está blefando com ele. Então entra o Q: nominalmente um intendente, funcionalmente o hacker-chefe do MI6, na verdade um palhaço.
Também aqui o raciocínio não é totalmente claro. Ele é um palhaço porque isso é engraçado? Ou a decisão foi outra consequência do analfabetismo em cibersegurança dos roteiristas? A primeira coisa que Q faz é conectar o laptop de Silva à rede interna do MI6 e começar a falar besteira, que tentaremos decifrar:
- “Protocolos à prova de falhas estabelecidos por [Silva] para limpar a memória se houver qualquer tentativa de acessar certos arquivos.” Mas se Q sabe disso, então por que ele continua analisando os dados de Silva em um computador com tais protocolos instalados? E se a memória for apagada?
- “É o site Omega dele. O nível mais criptografado que ele possui. Parece um código ofuscado para ocultar seu verdadeiro propósito. Segurança através da obscuridade. ” Este é basicamente um fluxo de termos aleatórios sem lógica unificadora. Algum código é ofuscado (alterado para impedir a análise) usando criptografia – e por que não? Mas, para executar o código, algo precisa primeiro decifrá-lo, e agora seria um bom momento para descobrir o que é esse algo. A segurança através da obscuridade é de fato uma abordagem da vida real para proteger um sistema de computador para o qual, em vez de mecanismos de segurança robustos, a segurança depende de tornar os dados difíceis para os possíveis invasores decifrarem. Não é a melhor prática. O que exatamente Q está tentando transmitir aos espectadores não está claro.
- “Ele está usando um motor polimórfico para transformar o código. Sempre que tento obter acesso, ele muda. ” Isso é mais absurdo. Onde está o código e como Q está tentando acessá-lo, ninguém sabe. Se ele está falando sobre arquivos, existe o risco de apagamento da memória (veja o primeiro ponto). E não está claro por que eles não podem parar esse mecanismo mítico e se livrar da “mutação do código” antes de tentar descobrir. Quanto ao polimorfismo, é um método obsoleto de modificação de código malicioso ao criar novas cópias de vírus no sentido mais estrito da palavra. Não faz sentido isso nesse momento.
Visualmente, tudo o que acontece no computador de Silva é representado como uma espécie de diagrama espaguete de complexidade diabólica salpicado com o que parece ser código hexadecimal. Bond com olhos de águia avista um nome familiar nadando na sopa alfanumérica: Granborough, uma estação de metrô desativada em Londres. Ele sugere usá-lo como uma chave.
Certamente, alguns oficiais de inteligência experientes deveriam perceber que uma informação vital deixada à vista de todos – bem na interface – é quase certamente uma armadilha. Por que outro motivo um inimigo o deixaria lá? Mas o desinformado Q entra na chave sem um murmúrio. Como resultado, as portas se abrem, mensagens de “violação de segurança do sistema” piscam e tudo o que Q pode fazer é se virar e perguntar: “Alguém pode me dizer como diabos ele entrou em nosso sistema ?!” Alguns segundos depois, o “especialista” finalmente decide que pode fazer sentido desconectar o laptop de Silva da rede.
No geral, nossa pergunta principal é: os escritores retrataram Q como um amador desajeitado propositalmente ou apenas apimentaram o roteiro com termos de segurança cibernética aleatórios, esperando que Q parecesse um gênio geek?
Spectre
Em teoria, Spectre pretendia levantar a questão da legalidade, ética e segurança do programa global de vigilância e inteligência Nine Eyes como uma ferramenta antiterrorismo. Na prática, a única desvantagem de criar um sistema como o mostrado no filme é se o chefe do Serviço Secreto Conjunto (após a fusão do MI5 e MI6) for corrompido – isto é, se como antes, o acesso aos sistemas de informação do governo britânico for obtido por um vilão interno que trabalha para o inimigo jurado de Bond, Blofeld. Outras desvantagens potenciais de tal sistema não são consideradas de forma alguma.
Como um acréscimo ao tema interno, Q e Moneypenny passam informações confidenciais para Bond oficialmente suspenso durante todo o filme. Ah, e eles informam mal as autoridades sobre seu paradeiro. Suas ações podem ser para um bem maior, mas em termos de trabalho de inteligência, eles vazaram dados secretos e deveriam ser culpados de má conduta profissional, no mínimo.
No Time To Die
No filme final da era Craig, o MI6 desenvolve secretamente uma arma ultrassecreta chamada Projeto Heracles, uma arma biológica que consiste em um enxame de nanorrobôs que são codificados para o DNA individual das vítimas. Usando Heracles, é possível eliminar alvos pulverizando nanobots na mesma sala, ou introduzindo-os no sangue de alguém que certamente entrará em contato com o alvo. A arma é ideia do cientista do MI6 e agente duplo (ou triplo, quem está contando?) Valdo Obruchev.
Obruchev copia arquivos secretos em uma unidade flash e os engole, então os agentes (o punhado que não foi eliminado no último filme) da agora não tão secreta organização Spectre invadem o laboratório, roubam algumas amostras de nanobot e sequestram o cientista traiçoeiro. Já sabemos dos problemas de verificação de antecedentes do pessoal, mas por que não há um sistema de prevenção de perda de dados (DLP, em inglês) em um laboratório que desenvolve armas secretas – especialmente no computador de alguém com sobrenome russo, Obruchev? (Russo = vilão, como todos sabem.)
O filme também menciona brevemente que, como resultado de múltiplos vazamentos de grandes quantidades de dados de DNA, a arma pode ser efetivamente virada contra qualquer pessoa. Aliás, essa parte não é completamente implausível. Mas então ficamos sabendo que esses vazamentos também continham dados sobre agentes do MI6, e isso prejudica a credulidade. Para comparar os dados de DNA vazados com os dos funcionários do MI6, as listas desses agentes teriam de ser disponibilizadas publicamente. Isso é um pouco rebuscado.
A cereja do bolo, entretanto, é o olho artificial de Blofeld, que, enquanto seu dono estava em uma prisão de segurança máxima por anos, mantinha um link de vídeo 24 horas por dia com um olho semelhante em um de seus capangas. Sejamos generosos e presumamos que é possível perder um bioimplante em um presidiário. Mas o olho teria que ser carregado regularmente, o que seria difícil de fazer discretamente em uma prisão tão vigiada. O que os guardas estão fazendo? Além do mais, no final, Blofeld é detido sem o dispositivo do olho, então alguém deve ter dado a ele após sua prisão. Outro intruso ?
Não é um epílogo
Gostaríamos de acreditar que todos esses absurdos são o resultado de uma escrita preguiçosa, não um reflexo genuíno da prática de segurança cibernética no MI6. Pelo menos, esperamos que o serviço real não vaze armas ultrassecretas ou armazene códigos ultrassecretos em texto não criptografado em dispositivos que nem mesmo bloqueiam automaticamente. Em conclusão, só podemos recomendar que os roteiristas aumentem sua conscientização sobre segurança cibernética, por exemplo fazendo um curso de cibersegurança.
Dicas